MobiKwikのアプリ更新で誤ったPINでもUPI決済が成立——48時間で4億ルピーが流出

2025年9月11日と12日、MobiKwikのUPIレールは銀行システムなら決して成立しない条件で支払いを実行した。その月の初めに配信されたソフトウェア更新が、ウォレット連携決済における2つの基本チェックを静かに破壊していた。ユーザーはウォレット残高をはるかに超える金額を送金でき、入力したPINが誤っていても取引が成立した。ハリヤーナー州の限られた地域で、登録加盟店とユーザーが共謀し、大規模に不正な決済を請求した——MobiKwikが後に提出したFIRでは、その金額は4億ルピーとされた。

会社が気づいたのは2日後だった。内部監査が9月11日〜12日付の不審な取引を指摘し、従業員が9月13日に侵害を報告した。MobiKwikはグルグラムでBharatiya Nyaya Sanhitaの詐欺および横領の条項に基づきFIRを提出した。警察は6人の男——5人がヌーから、1人がパルワルから——を逮捕し、約2,500人の受益者を特定し、銀行口座で8,000万ルピーを凍結した。MobiKwikは約1億4,000万ルピーを回収し、取引所への提出書類によれば推定純影響額は2億6,000万ルピーとなった。

この不具合は同社の成長エンジンに直撃した。MobiKwikは投資家に対し、UPI決済を銀行口座ではなくMobiKwikウォレット経由で行うPocket UPIを売り込んでおり、UPI取引量の増加に支えられて2026年度第1四半期の総流通額（GMV）は前年同期比53%増だった。取引量は指標であり、上限はその反指標である。この詐欺により9月四半期の決算は2億8,600万ルピーの純損失となり、前年同期の3,600万ルピーの損失の約8倍となった。株価はこの開示を受けて下落した。

48時間で4億ルピーが流出。1億4,000万ルピーを回収、純影響額2億6,000万ルピー。6人を逮捕、8,000万ルピーを凍結、2,500人の受益者を追跡

このリリースは、決済で最も重要な2つのテストを欠いたまま出荷された。誤ったPINでの試行と、残高超過の送金である。どちらも本番レールで通過してしまった。

検知は事後的だった。一部の地区からの2日間にわたる異常な決済トラフィックはリアルタイムではフラグが立てられず、アラートではなく内部監査によって終息した。

成長ストーリーがリスクを高めた。Pocket UPIの取引量推進により上限は摩擦のように見え、そして失敗したのはまさにその上限だった。

警察は、この欠陥の露呈に内部関係者の関与を疑った。更新に関する特権的な知識は隔離も監視もされていなかった。

決済においては、ネガティブパスこそが製品である。誤ったPINと残高超過送金を決してテストしないリリースは、成長エンジンを流出装置に変えてしまう。ロールバックは制御であり、緊急時対応ではない。

MobiKwikは4億ルピーを申告し、1億4,000万ルピーを回収し、取引所に対し推定純影響額は2億6,000万ルピーであり、回収と法的措置を継続中と伝えた。6人の被告は司法拘留となった。ヌー警察は、9月11日〜12日に説明のつかない送金を受け取った住民に対し、名乗り出て返還するよう公に呼びかけた。この損失は2026年度第2四半期を2億8,600万ルピーの純損失に転じさせる一因となった。またこれはMobiKwikの最近の歴史における3件目の詐欺開示であった——2017年の1億9,000万ルピーの詐欺、そして2023年8月から2024年9月にわたる元従業員による1,260万ルピーの詐欺に続くものであり、投資家は今これを一連のパターンとして読んでいる。